Mozilla töötajad avaldasid kogemata GitHubis Firefoxi ja Thunderbirdi suletud GPG-võtme

Mozilla teatas, et asendab GPG-võtme, mida kasutatakse Firefoxi ja Thunderbirdi väljalasketehingute digitaalsete allkirjade kinnitamiseks, nagu tar-arhiivid, RPM-paketid ja kontrollsummade failid. Asendus toimus seoses juhtumiga, kus peidetud võti lisati eksikombel ettevõtte privaatsele GitHubi repole, kuhu pääses piiratud arv projekti liikmeid, kellel oli juurdepääs võtme kasutamisele sisevahendite kaudu.

Auditilogide analüüs ei tuvastanud tõendeid kolmandate isikute juurdepääsule võtmele, kui see oli GitHubi repole. Enamiku kasutajate jaoks ei vaja võtme asendamine mingeid toiminguid. Välistatud on vaid need kasutajad, kes kontrollivad käsitsi digitaalseid allkirju või installivad Mozilla ametlikke Firefoxi kogumeid RPM-pakettide kaudu. Nendel juhtudel on vajalik uue avaliku võtme selge importimine ja vana võtme tagasi tõmbamine.

Fedora kasutajad, kes kasutavad versiooni 42 ja varasemaid (Fedora 43 puhul asendatakse võti automaatselt), samuti RHEL/Rocky/Almalinux'i kasutajad peavad täitma: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all

openSUSE ja SUSE jaoks: sudo rpm -e —allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm —import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh

Allikas: opennet.ru